zweifaktorauthentisierungteil1 Link to heading
totp, webauth, fido, fido2, u2f, 2fa, mfa. alles irgendwelche kürzel für zwei oder multifaktor authentisierung.
stellt sich nur die frage: was will man davon und funktioniert das überhaupt?
es gibt noch mehr fragen und noch mehr sobald man anfängt sich mit dem thema zu beschäftigen. aber erstmal zum problem bzw der herausforderung.
das passwort bzw die kombination aus login + passwort ist unsicher. um nur ein paar beispiele zu nennen:
passwort 123456 qwertzuiop (oder variationen davon für alle accounts)
kann beim tippen beobachtet werden
lange sichere passwörter sind schwer zu merken, passwortmanager notwendig
phishing anfällig
risikobewusstsein, sicherheitsbedürfnis und paranoialevel führen schon bei passwörtern zu verschiedenen überlegungen. in meinem fall habe ich mich vor länger zeit schon für einen passwortmanager entschieden, auch totp hatte ich mal getestet vor vielen jahren. mit totp kam ich aber nicht so richtig klar. unter anderem weil damals mein backup nicht funktioniert hat. also musste ich bei 5 diensten umständlich totp wieder entfernen und bin zurück auf passwordonly.
als fazit hab ich dann die passwörter mehr abgesichert, länger, komfortabler pwmanager usw.
mit dem wechsel von android zu ios kam dann irgendwann die icloud keychain mit dazu. am anfang war ich sehr skeptisch, mittlerweile nutze ich sie, aber auch mit vorsicht. ich würde niemals banking-zugangsdaten irgendwo außerhalb meines heimnetzwerks ablegen. für foren und app-logins hat sich das als sehr praktisch erwiesen.
zwischendurch hab ich schon immer mit hardware security keys geliebäugelt, aber so ein yubikey für 50+x euro war mir dann doch immer etwas zuviel.
was immer mehr wurde sind phishing-mails. entsprechend haben diverse dienste auf zwei-faktor-authentisierung umgestellt. oft mit sms. da sind wir aber beim nächsten problem: wieviel 2 faktor ist es, wenn der zweite faktor auf dem gleichen gerät stattfindet? genau, keiner. aber doch besser als nichts :)
mittlerweile sind wir bei passkeys angekommen. um mal die wikipedia zu zitieren:
Gegen Phishing ist Passkey widerstandsfähig, weil die Domain in die Berechnung des Schlüssels einfließt, nicht aber gegen das ungerechtfertigte Duplizieren der Primärschlüsseldaten.[10] Hardwarebasierte Security-Token, welche das Duplizieren der geheimen Schlüsseldaten im Token unterbinden, sind dafür mit weniger Komfort als Passkey anzuwenden aber sicherer.
damit sind wir jetzt bei der nächsten möglichkeit angekommen. hardware security keys.
es gibt verschiedene kategorien von keys. von usbc über usba bis lightning oder nfc gibt es mehr als genug möglichkeiten so einen key ans device zu bekommen. der für mich spannende punkt ist in welche richtung der authentisierung ich gehen will. totp oder doch passkey oder fido(2) mit webauth. und wie ist das mit dem login am rechner?
totp ist ja schon etwas alt, aber sehr weit verbreitet, finde ich aber auch unpraktisch (je nach umsetzung)
passkeys finde ich schön, aber aktuell fehlt der keychain noch eine export funktion dafür. somit gibts kein backup für mich, sprich dann braucht es immernoch einen 2. zugang zu den entsprechenden accounts. wenig verbreitung.
hardware security keys sind mehr oder weniger teuer. günstige gibts ab 30euro, können aber nur fido2 und u2f. verbreitung geht so.
wenn man einen key der auch totp und noch andere features hat gehts ab 50euro los. man muss ich aber auch hier um ein backup kümmern. empfohlen wird ein 2. key. dann werden aus 30 oder 50 euro direkt 60 oder 100euro :)
erste ansätze
den beschluss mir einen hardware security key zuzulegen habe ich schon gefasst und der yubikey (fido2) ist auch schon auf dem weg zu mir.
ich hab mir mal einen handvoll dienste zum testen rausgesucht.
so will ich erstmal testen wie das hinzufügen eines keys funktioniert bzw ob man zeitgleich passkeys nutzen kann.
je nach erkenntnis würde ich dann irgendwann passkeys + yubikey als backup nutzen. bzw je nach gerät die einfachere lösung. am pc/laptop ist so ein yubikey schon sehr einfach zu benutzen, wie das am smartphone mit nfc z.b. funktioniert will ich noch testen. am tablet mit usb-c kann ich mir die nutzung eines keys auch vorstellen. ob ich unterwegs immer einen key mitführen will weiß ich allerdings noch nicht. da wäre passkeys komfortabler.
nachdem passkeys noch sehr neu ist, muss man da auch erstmal abwarten wie sich das entwickelt, aber es wird ordentlich gepushed. ich denke das wird sich zumindest bei den großen diensten als standard etablieren. hoffe auch dass sich der ein oder andere entwickler für forensoftware dazu hinreißen lässt :)
abschließend noch eine kleine linksammlung
https://fedoramagazine.org/use-fido-u2f-security-keys-with-fedora-linux/
https://wiki.archlinux.org/title/Universal_2nd_Factor
https://www.yubico.com/de/store/compare/
https://shop.nitrokey.com/de/shop/nkfi2-nitrokey-fido2-55#attr=
https://solokeys.com/collections/all
https://leetronics.de/de/ (solokeyshop für de)